发明内容

本发明的第一方面涉及一种用于车辆状态信号发送设备的自动监控的方法，特别是用于信号发送机动车辆的激活状态、至少部分自动化状态、驾驶运行状态的设备。所述方法包括：(i)将第一控制信号传送到所述车辆状态信号发送设备，所述第一控制信号被配置为将所述车辆状态信号发送设备的分配的信号编码器变为去激活状态；(ii)随后测试所述信号编码器的当前实际运行状态；以及(iii)如果测试表明尽管传输了控制信号但所述信号编码器仍处于激活状态，则触发被分配给此测试结果的至少一个预定的故障补救动作。

因此，通过所述方法，第一控制信号首先被用于将信号编码器的设定点运行状态设置为“去激活”，使得其随后不再是激活的，即，将不输出任何信号。但是，可以考虑出现故障情况，例如短路、开关故障或与控制信号有关的信号中断，从而导致以下情况：尽管发出了第一控制信号，信号编码器实际上仍然继续工作，即执行相关的信号发送操作。可以通过测试实际运行状态来检测这样的故障情况，在故障情况下可能会第一控制信号偏离所要求的运行状态，从而响应于故障状态的监控而进行相应的调整。可以触发故障补救动作，以缓解安全关键情况。因此，总的来说，所述方法相对于其中发生信号的情况对车辆状态信号发送设备进行自动监控，即使由于分配的当前车辆状态当前该信号当前不应该进行。以这种方式，借助于在检测到的故障情况下根据所述方法的故障补救动作触发器，可以实现车辆状态的相应信号的安全性的提高。

根据本发明，术语“车辆状态信号发送设备”应被理解为一种设备，该设备被配置为借助于人机界面来向车辆的使用者，特别是其驾驶员以信号通知所分配的车辆的状态。在此，信号发送可以借助于相应的信号编码器来进行，特别是光学地、声学地和/或触觉地进行。例如，可以通过至少一个照明设备来进行信号发送，例如作为信号编码器的发光二极管，或者通过屏幕上的消息进行信号发送，合适情况下经由作为信号编码器的扬声器通过附加的声音进行信号发送。车辆的被信号发送状态具体也可以涉及车辆的运行模式。这种运行模式具体可以是相应的自动化车辆的部分自动化状态、高度自动化状态或甚至自主驾驶运行状态。为了感测要被信号发送的车辆状态，车辆状态信号发送设备本身可以具有相应的传感器系统，或者可以具有信号输入端，通过该信号输入端，车辆状态信号发送设备接收表征要被信号发送的车辆状态的相应信号。这种信号具体地可以从车辆的控制装置接收。

根据本发明，术语“测试信号编码器的当前实际运行状态”具体地应被理解为通过技术手段，特别是测量，来进行测试，以确定在考虑时信号编码器是否被激活并相应地输出根据相关的车辆状态分配给其的信号发送，或者确定在信号发生失败时其是否被去激活，即，其处于不输出信号的去激活状态。去激活状态在此具体地可以对应于完全关闭的状态，或者对应于静止状态，在该静止状态中，信号编码器确实被提供了能量，但当前不输出信号，例如光信号，这是因为没有发生相应的启动。具体地，所述状态可以是特别用于执行测试步骤的特定诊断状态。

根据本发明，术语“将信号编码器变为去激活状态”可以根据本发明特别地理解为保持已经存在的去激活状态的情况，其中特别是借助于在第一控制信号或开关信号中包含的相应命令来实现的。将信号编码器变为去激活状态具体地可以直接地实现(即通过相应地影响信号编码器本身)或者间接地实现(通过影响启动信号编码器的相应过程)。

根据本发明，术语“故障补救动作”应被理解为是指车辆状态信号发送设备本身的和/或具有信号传导连接并且被提供并适于实现的另一设备的、在触发后直接或间接地作为对已通过测试检测到的故障的对策的动作。故障补救动作可以相应地自动消除或至少减轻故障的负面影响，或者也可以仅限于涉及人类用户，例如，如果其包括输出相应的警告消息或采取措施给用户。

因此，通过所述方法，第一控制信号首先被用于将信号编码器的设定点运行状态设置为“去激活”，使得其随后不再是激活的，即，将不输出任何信号。但是，可以考虑出现故障情况，例如短路、开关故障或与控制信号有关的信号中断，从而导致以下情况：尽管发出了第一控制信号，信号编码器实际上仍然继续工作，即执行相关的信号发送操作。可以通过测试实际运行状态来检测这样的故障情况，该实际运行状态在故障情况下可能会偏离通过第一控制信号所要求的运行状态，从而响应于故障状态的监控而进行相应的调整。可以触发故障补救动作，以缓解安全关键情况。因此，总的来说，所述方法相对于其中发生信号的情况对车辆状态信号发送设备进行自动监控，即使由于分配的当前车辆状态当前该信号当前不应该进行。以这种方式，借助于在检测到的故障情况下根据所述方法的故障补救动作触发器，可以实现车辆状态的相应信号的安全性的提高。

在一些实施例中，所述故障补救动作包括输出独立于所述第一控制信号并且被配置为触发以下处理中的至少一个的第二控制信号，特别是在所述车辆状态信号发送设备或车辆控制器处：(i)将所述车辆状态信号发送设备变为安全状态，特别是以独立于所述第一控制信号的方式使所述车辆状态信号发送设备或仅所述信号编码器去激活；以及(ii)在人机界面上输出故障消息。

由于第二控制信号独立于第一控制信号，因此根据变型(i)将车辆状态信号发送设备变为安全状态可以是成功的，即，即使用于传输第一控制信号的信号路径被中断时或第一控制信号在车辆状态信号发送设备上的处理被中断时，也能实现期望的去激活。例如，这可以通过两个单独的开关来实现，每个开关可以彼此独立地实现安全状态。变型(iii)通过与用户通信来对应于对所检测到的故障情况的间接反应，从而使用户可以使他们的行为，尤其是他们的驾驶行为，适应于由此信号发送的故障情况，从而补救安全隐患。在这种情况下，所述方法执行监控，包括将监控结果传送给人类用户，并且，如果合适，结合变型(i)还附加地执行将车辆状态信号发送设备自动转换到安全状态。特别地，变型(ii)可以适用于故障情况，在该故障情况下，即使实际上仅存在一种手动驾驶模式，该信号发送信号(signalling signals)通过例如相应的显示器来对车辆的至少部分自动化的明显的当前控制(apparent present control)，因此驾驶员实际上必须完全自己控制和监控车辆。

第二控制信号具体地可以被构造为包含例如相应的命令(特别地以数字形式表示的命令)或相应的(特别地模拟的)切换信号，所述切换信号通过以下方式态使所述车辆状态信号发送设备变为安全状态：(i)通过总体自去激活或(ii)通过其受影响的信号编码器的选择性去激活，

在一些实施例中，所述方法(i)特别地以规则的时间间隔被重复地执行和/或(ii)根据总体上被分配给所述车辆状态信号发送设备的车辆状态执行或者根据单独地被分配给所述信号编码器的车辆状态执行。以这种方式，特别地在变型(i)的基础上，可以进行定期或连续的监控。此外，特别地在变型(ii)的基础上，可以实施根据所分配的车辆状态有选择性地定义的监控。因此，对于变型(ii)，例如在激活手动驾驶模式(车辆状态)时可以触发监控，从而可以通过所述方法在适当的情况下监控故障情况，在该故障情况下，与实际存在的驾驶模式相反，至少部分自动驾驶模式由车辆状态信号发送设备或其特定的信号编码器进行信号发送。

在一些实施例中，所述车辆状态信号发送设备具有至少在信号发送方面彼此不同的多个信号编码器，并且所述方法是仅相对于所述车辆状态信号发送设备的信号编码器的第一真子集，单独针对每个信号编码器或针对来自所述子集的信号编码器的一个或多个预定组合有选择性地执行。信号编码器具体地可以是多个光学信号编码器，它们的信号颜色或信号效果(例如，闪烁、亮度、亮度分布等)有所不同。这样的示例是一组三个信号编码器，每个信号编码器都实施为发光二极管，其中发光二极管中的每个为不同的颜色，例如红色、绿色和蓝色，其中每个发光二极管或信号颜色被分配了不同的车辆状态。因此，例如在与车辆的各种驾驶模式有关的上述示例中，红色发光二极管可以被提供用于发送手动驾驶模式(例如，由国际自动机工程师学会“SAE International”定义的SAE级别0)信号，蓝色发光二极管用于发送部分自动驾驶模式(例如SAE级别1或2)信号，绿色发光二极管用于发送高度自动化驾驶模式(例如SAE级别3至5)信号。这两个自动驾驶模式级别可以归类为与安全相关的类别，因此，此处的车辆驾驶员通常会放弃对自动系统的至少一些驾驶任务，因此，如果自动系统运行不正确或发生故障，则可能存在安全隐患。因此，可以将信号编码器的第一子集定义为由蓝色发光二极和绿色发光二极管组成的量，以便仅针对这两种信号编码器进行监控，而在分配了红色发光二极管的手动驱动模式下，则不必监控所述二极管，并且因此可以省略监控，因为在这种情况下，在任何情况下都将驾驶任务完全分配给驾驶员。

本发明的第二方面涉及一种监控设备，其被构造成相对于车辆状态信号发送设备执行根据本发明的上述第一方面的方法。监控设备具体地可以被实现为单个控制装置(或其一部分)或被实现为分布在不同设备上的多个监控设备(特别是控制装置)的组，并且被提供为在所述方法的执行范围内进行交互。

在一些实施例中，所述监控设备具有至少一个测试设备，所述至少一个测试设备被配置为测试在所述车辆状态信号发送设备的测试信号输出端处输出的测试信号，特别是模拟或数字测试信号，以基于测试确定所述车辆状态信号发送设备的信号编码器的当前运行状态。这样，可以在所述方法的范围内特别有效地实施测试。特别地，可以省去用于检测信号编码器的工作状态的附加传感器系统，例如用于感测用作信号编码器的照明设备的发光状态的光敏传感器。测试信号具体地可以是可以从中推断出信号编码器的当前运行状态的电压信号或电流信号。例如，测试信号可以对应于信号编码器两端的电压降或流过其的工作电流的电流强度或从其导出的变量。因此，例如，发光二极管通常在其工作过程中具有特征性的正向电压，因此，通过测量与该特征性的正向电压相对应的测试信号，可以推断出发光二极管的激活状态，即照明状态。

本发明的第三方面涉及一种计算机程序，所述计算机程序被配置为当其在根据第二方面的监控设备上运行时执行根据本发明的第一方面的方法。

所述计算机程序具体地可以存储在非易失性数据载体中。优选地，这是光学数据载体或闪存模块形式的数据载体。如果这样的计算机程序将独立于要在其上运行一个或多个程序的处理器平台进行处理，则这可能是有利的。在另一实施方式中，所述计算机程序可以作为文件存在于数据处理单元上，特别是在服务器上，并且可以经由数据链接下载，例如，互联网或专用数据链接(例如专有的)或本地网络。另外，所述计算机程序可以具有多个单独的互程序模块。

所述监控设备可以相应地具有程序存储器，在该程序存储器中存储计算机程序。替代地，所述监控设备还可以被配置为经由通信链路访问例如在一个或多个服务器或其他数据处理单元上的外部可用的计算机程序，特别是为了与之交换方法或计算机程序正在运行时所使用的数据，或构成计算机程序的输出的数据。

关于本发明的第一方面说明的特征和优点也相应地适用于本发明的第二方面和第三方面。

本发明的第四方面涉及一种车辆状态信号发送设备，特别是用于发送机动车辆的激活状态、至少部分自动化状态、驾驶运行状态信号的设备。所述车辆状态信号发送设备具有：(i)信号编码器，其被配置为输出状态信号，所述状态信号用于信号通知分配给所述信号编码器的车辆状态；以及(ii)用于启动所述信号编码器的电路，以响应于至少一个相应的控制信号，特别是由根据本发明的第二方面的监控设备传送的相应的控制信号，有选择性地激活或去激活所述编码器。所述电路具有可独立地切换的第一开关和第二开关，以及至少一个测试信号输出端，所述测试信号输出端用于使测试信号可用于测试所述信号编码器的当前运行状态。另外，所述电路被配置为使得，为了激活所述信号编码器，所述第一开关和所述第二开关必须一起具有特定的预定切换状态组合，而开关的预定切换状态组合不对应于所述第一开关和所述第二开关的特定的切换状态组合或不包含对应于所述信号编码器的去激活的第一开关和所述第二开关的开关的特定的切换状态组合。

这种基于开关的解决方案的优势在于，只有特定的切换状态组合才能激活信号编码器，而还有更多的对应于信号编码器的未激活状态的其他切换状态(所述开关中的至少一个处于与特定开关状态组合所假定的位置不同的位置)。例如，如果信号编码器的激活状态与两个开关的闭合切换位置相对应，则可以通过任何一个单独的开关来使信号编码器去激活。此外，两个开关中的每个单独的开关都可以通过断开和关闭相应的另一开关来测试其无故障功能，尤其是其关断功能。如果随后在测试过程中明显看出尽管断开了一个开关，信号编码器仍被激活，则可以从中推断出实际“断开”的开关的故障，因为根据测试结果，该开关实际上具有例如由于短路而产生的电流传导或信号传导作用。如下结合下述的其他实施例所描述的，其他特定的开关组合也是可能的。

在这样的基于开关的实施例(“变体1”)中，所述电路具有分压器，所述分压器具有两个串联的偶极，并且所述测试信号输出端从位于两个偶极之间的电路点开始；所述第一开关和所述第二开关设置在所述偶极的第一偶极中，所述信号编码器设置在所述偶极的第二偶极中；以及仅当所述第一开关和所述第二开关分别同时处于闭合切换状态时，才可以通过所述分压器施加的工作电压激活所述信号编码器。

这样，可以使用两个开关不同时闭合的其他切换位置来测试电路。这具体地适用于其中开关中的一个闭合并且相应的另一开关断开的切换位置。如果在这种情况下信号编码器仍处于活动状态，则有可能与根据其启动而实际上是“断开”的开关相关联地推断出故障。这种故障具体地可能以开关的短路或错误启动的形式出现。以类似的方式，即使两个开关根据其启动处于“断开”，如果信号编码器仍处于活动状态，也可针对两个开关推断出故障。

信号编码器当前是否处于激活的工作状态可以通过电测量来感测，特别地，通过在测试信号输出端存在的电压电势或流经测试信号输出端从其开始的切换点的电流。因此可以将切换位置中的、在其处开关中的至少一个断开的至少一个切换位置用作诊断位置。所述位置具体地可以不同于用于正常关闭信号编码器的这些切换位置中的另一个。例如，正常的“断开”位置可以对应于两个开关的断开状态，而在信号编码器的实际运行状态的测试范围内，其中一个开关分别闭合而另一开关断开的两个位置可以分别用作诊断位置。然后，安全状态可以具体地对应于常规的“关闭”位置。

在这种基于开关的一些其他实施例(“变体2”)中，所述电路则具有分压器，所述分压器具有两个串联的偶极，并且所述测试信号输出端基于位于两个偶极之间的电路点。然而，在该变型中，所述第一开关设置在所述偶极的第一偶极中，所述信号编码器和所述第二开关设置在所述偶极的第二偶极中。仅当所述第一开关和所述第二开关分别同时处于闭合切换状态时，才可以通过所述分压器施加的工作电压激活所述信号编码器。否则，关于变型1的陈述也相应地适用于变型2。

在分别构成变体2的一些特殊情况的一些实施例(“变体3”)中，在所述第二偶极中，所述第二开关与所述信号编码器并联连接；以及仅当所述第一开关处于闭合切换状态而同时所述第二开关处于断开切换状态时，才可以通过所述分压器施加的工作电压激活所述信号编码器。因此，为了定期激活信号编码器，第一开关必须闭合，第二开关必须断开。

对于常规的去激活信号编码器，特别地，第二开关可以闭合，并且可选地还可以闭合第一开关。那么，诊断位置具体地可以包括两个开关均断开的情况。如果在第一开关处存在故障(例如短路)，该故障导致信号编码器被供电，则可以通过信号编码器的活动推断出在第一开关处的故障。另一方面，如果两个开关均闭合并且信号编码器实际上仍处于活动状态，则可能推断出第二开关的故障(即，即使实际上应根据其启动断开，第二开关仍会导通电流)。该变体具有额外的优点，如果第二开关闭合并且因此旁路信号编码器，则可以避免信号编码器处的电压的寄生积累，特别是如果信号编码器包含一个或多个发光二极管的情况下。

在可具体地与变型1至变型3中的任一个结合使用的一些实施例中，所述分压器是负载分压器，在所述负载分压器中，所述第二偶极具有与所述信号编码器并联连接的负载。负载可以具体地借助于所谓的(例如，欧姆的)下拉电阻器来体现。这样做的优点是，可以通过选择负载来设置测试信号输出端的工作点。具体地，以这种方式可以确保，如果由于第一开关在第一偶极中的相应切换位置而没有通过施加在分压器上的工作电压来提供测试信号输出，则将测试信号输出拉至较低的电势，特别是地电势，以便在测试信号输出端获得确定的电势或测试信号，而非波动状态下，该电势或信号允许在测试信号输出端处的测量过程中可靠地与其他切换状态区分开。

本发明的第五方面涉及一种用于执行车辆状态的监控的信号发送的系统，特别是执行用于信号发送机动车辆的激活状态、至少部分自动化状态、驾驶操作状态的信号发送设备。该系统具有根据本发明的第二方面的监控设备和根据本发明的第四方面的具有信号传导连接的车辆状态信号发送设备。

在一些实施例中，所述系统被划分在两个或更多个不同的装置之间，特别是用于车辆的控制装置。所述车辆状态信号发送设备的第一开关和第二开关设置在所述装置中的两个不同的装置中。另外，所述车辆状态信号发送设备的测试信号输出端连接到所述装置中的至少两个装置，并且所述至少两个装置分别用于单独地或与所述系统的所述车辆状态信号发送设备一起执行根据本发明的第一方面的方法。以这种方式，由于系统的功能，特别是关于测试至少一个信号编码器的实际当前运行状态的功能，在不同的装置之间分配，因此可以进一步提高安全性。因此，即使在所述装置中的一个上出现故障情况，也可以进行诊断，这也阻止了该实际装置对信号编码器的运行状态进行诊断或测试。因此，还可以通过其他装置中的至少一个来实现安全状态。

在一些实施例中，所述车辆状态信号发送设备具有至少在信号发送方面彼此不同的多个信号编码器。所述监控设备被配置为相对于所述车辆状态信号发送设备针对每个信号编码器有选择性地执行根据本发明的第一方面的方法。以此方式，可以相对于信号编码器中的每个单独地、并且独立于相对于其他信号编码器的测试来执行测试，这特别地允许更精确地界定或识别任何故障。具体地，这样的系统可以附加地构造成，使得在关于信号编码器的测试表明尽管传递了相应的控制信号，该信号编码器仍处于激活的工作状态中，所述系统使该信号编码器去激活。以这种方式，可以有选择性地实现关于该信号编码器的安全状态，而不会不利地影响其他信号编码器的功能。

本发明的第六方面涉及一种车辆，特别是机动车辆，其具有根据本发明的第五方面的系统。

关于本发明的相应的不同方面中的一个或多个所说明的特征和优点也相应地适用于本发明的相应的第四、第五或第六方面。另外，除非另有明确说明或除非彼此排斥，否则本文描述的本发明各个方面的实施例可以根据需要彼此组合。具体地，这包括其中仅应用所有所描述的实施例的一个子集的组合。